高校网络出口解决方案

高校网络出口解决方案1.高校网络出口现状分析随着高校信息化建设的开展，教学、科研、办公、生活对于校园网平台的依赖性越来越强。

国内的高校经过多年持续不断的基础设施建设和应用提升，已经形成了较为稳定的校园网基础架构、相对丰富的校园网应用平台。

但是，在讲究信息共享、资源整合的今天，有一块区域长期以来一直困扰着各大高校——这就是校园网出口区域。

实践中会发现，众多高校都测试了多个厂商的设备，却未能获得很好的问题解决，无法取得理想的效果。

然而，几乎所有的高校信息化专家一致认为：“高校校园网不应该作为一个信息孤岛而存在。

网络的价值更重要的是体现在信息的流通、资源的共享。

”作为校园网络平台的“门户”——出口区域，承担着高校之间相互交流的窗口的重大作用。

那么高校的校园网出口到底是怎样一个现状，都面临着哪些问题呢？为此，锐捷网络自2006年初对全国10个省进行了采样调查和分析。

1.1高校出口基本状况调研高校网络出口调研的对象为10个省市的本科类非985院校（天津、辽宁、四川、重庆、湖南、湖北、广东、安徽、福建、江苏）。

下面从学校规模，出口链路及带宽方面来介绍调研成果。

第一、从学校网络规模、信息点来看；60%的高校拥有1000-10000这样的信息点数规模。

仅仅有13%的高校信息点数在1000点以下。

而超过10000点大规模的学校比例为27%。

信息点数的多少基本上可以反映接入PC的数量（不是完全一一对应的关系），因此，我们通过结合网络规模和出口链路、出口设备状况可以来判断不同规模的学校所面临的共性和个性的问题。

一般来说：规模在1000点以下、出口带宽不是很低的情况下，出口区域的规划相对容易，对设备性能的要求相对较低，从而所采用的策略可以宽松一些。

目前面临出口难题的主要为信息点数为1000-10000和10000以上的那些高校。

第二、从出口的链路条数和带宽情况来看；一方面，网络规模较大的学校，出口带宽普遍较高；另一方面，根据学校所在区域有所差别，比如像在广州、武汉等全国网络的核心节点地区，高校的出口带宽普遍较高。

同时，运营商在不同地区采取的收费标准也对高校出口带宽有着重要的影响。

具体来说：在广州、武汉，普通本科拥有千兆电信和千兆教育网带宽的比例最高，甚至有千兆电信/千兆网通的接入；而在大连，普通本科学校的出口带宽普遍在CERNET--100M，网通--10到50M不等。

此外，由于一些特定因素，90%以上高校都有2个校园网出口，并且根据当地情况，相当比例的学校拥有三个以上的出口（教育城域网、联通、移动等提供的第三条出口）。

举例来说：在四川的20所本科院校中，有5所学校具有三出口，比例为25%；湖北的17所本科院校中有四所学校具有三出口。

1.2高校出口现有设备分析我们的调研成果还包括了高校出口现有设备和所关注的功能。

第一、从现有出口设备组合方式来看；出口设备主要包含了三类：路由器类、防火墙类、流量控制类。

另外，还有一类为代理服务器的方式，该方式目前在国内高校已不多见，但仍然有个别学校在使用（这里我们归为路由器类）。

从一组124所高校的统计数据来看，单独采用防火墙的模式和采用防火墙+路由器的混合模式占到了73%。

（具体数据请看下图—124所本科院校出口设备组成比例图）第二、从出口设备所启用和所关注的功能来看；功能上，NAT（地址转换）转发，路由处理是最基本的。

针对多出口，策略路由也是必备功能。

性能上，NAT（地址转换）和策略路由是绝大都数高校现有出口设备的瓶颈所在。

其次是安全防护能力，包含出口日志的记录能力，从我们的调查来看，几乎没有哪一个学校未遇到公安机关找上门的情况，甚至个别学校有因为日志问题而被公安机关拘留的记录，某个城域网因为日志问题面临被公安机关关闭的困境。

以所使用的具体设备为例：路由器功能丰富，但是安全性能差。

防火墙对安全的处理是大家所认可的，转发性能不高，尤其对于NAT、PBR的转发性能较低，容易成为网络瓶颈。

而代理服务器的配置管理较复杂，对网管人员的要求高；并且其可靠性较低，需要经常重启；最重要的问题在于大规模网络下代理服务器的性能问题。

所以，我们看到了在某校规模较小的办公网络需要采用八台代理服务器来保证其功能和性能的平衡。

2.当前校园网出口面临的挑战第一、NAT性能问题；出口设备要支持NAT（地址转换）是共识的。

一方面，校内使用私有地址的情况，访问Internet需要进行NAT；另一方面，即使校内使用真实的教育网IP，那么通过电信或者网通的线路访问外部资源，仍然需要进行NAT（地址转换），因为电信所分配的地址更有限。

NAT（地址转换）等于给出口设备增加了一项很重要的任务，但是，从实际情况来看，NAT却成为了上网速度慢的一个重要原因。

第二、策略路由支持问题；首先，当前校园网是基于多出口的架构。

1）为了提高访问速度需要多出口互联。

CERNET与电信、网通等运营商的互联仅在上海、北京、广州三地有交互中心，且互联带宽还不够高，这就给教育用户访问公网资源和运营商用户访问教育网资源带来了问题。

2）为了解决费用问题。

电信、网通等ISP的包月交费制提供了高校解决国际流量费用的好思路。

3）解决线路备份问题，避免单出口单点故障的存在。

其次，从上面多出口架构的原因分析可以看出，出口有必要对不同用户规定相应的路径，根据不同的访问流量制定相应的路径——也就是基于策略的路由。

从实际中各个学校的使用情况来看，一些早期的设备不支持策略路由，或者部分新采购的设备启用策略路由时，造成设备性能的下降，从而影响整个出口的性能和稳定性。

第三、安全防护能力问题；出口的安全防护一直是大家重点关注的对象，当前出口面临的网络威胁主要表现2个特点：首先，快速增长的网络带宽为网络威胁提供了更多的空间。

以前只有2M的出口带宽，而现在已经千兆入户、百兆到桌面，而骨干网的带宽也已经普及万兆。

网络越发达，网络威胁出现的次数越多，网络威胁造成的损失也就越大。

其次，越来越丰富的应用，使得网络安全的应对面也越来越广。

比如：EDonkey等P2P下载软件和各种IM的聊天软件。

这些协议都是要TCP/UDP层上，甚至需要完成应用层的服务。

网络威胁的种类也越来越多，不仅有非法入侵、网络渗透。

还有网络欺骗、DOS/DDOS攻击、各种恶意软件、垃圾邮件等。

第四、日志记录问题；《互联网安全保护技术措施规定》在2005年11月23日公安部部长办公会议通过，并自2006年3月1日起已经施行。

（该规定简称“82号令”）规定对用户信息、用户上网记录、地址转换记录、设备状态记录等都有要求。

图2 公安部82号令（部分摘抄）第五、流量控制问题；校园网的规模在扩大，网络基础设施在提升，出口带宽在增加，各种网络应用也更加丰富。

但是，某些用户或者应用（如BT等P2P应用）却在过多的占用着网络资源。

总的来说，出口带宽的增长速度与访问流量的提升速度已经是一种矛盾。

所以，有必要对用户或者某些特定应用进行流量的控制。

第六、高可用性的问题；以太网发明人Bob Metcalf曾说过“网络的价值和其节点数的平方成正比。

”当然该价值体现的前提就是网络的正常稳定运行。

当下，对服务质量要求越来越高，用户对校园网这一平台的依赖性和期望值都越来越高，各高校对网络的可用性，尤其出口的可用性的关注也是前所未有的。

通俗的来说，校内某一区域不正常只影响到该区域，而校园网出口的不可用将导致整个学校与外界的隔断，校内与校外的任何互访、信息互通都无法实现。

再审视绝大多数校园网出口区域，单设备、单链路的现象还占据主要位置。

对于设备的冗余、链路的备份，以及在出现任何设备或者链路故障下的自动切换，也仅仅是少数学校达到这样的水平。

那么，如何打造出口的高可用性？如何实现出口的自动调整对用户的透明性？即，用户无需理解复杂的出口技术，只需要体验最快的网速。

这些问题都摆在了网络管理者的面前。

3.锐捷高教校园网出口解决方案正是基于对高校的深刻理解，基于实事求是的调研数据，锐捷网络2007年推出了为高校度身定制的校园网出口解决方案。

3.1性能是出口制胜的法宝高度增强的NAT、PBR性能首先，通过三组数据来说明实际的性能效果。

1）在启用NAT、ACL、PBR（策略路由）的情况下，在通常情况报文流情况下（平均报文长度为500byte 左右的混合报文），双向可以达到8Gbps的线速转发。

简单理解，在学校1条千兆CERNET，1条千兆电信的双出口架构下，完全可以双向线速转发。

2）并发达到200万条的NAT会话数。

如果按照每个网络节点300条NAT会话，则可以支持将近7000台的网络节点同时在线，解决了网络规模大与上网速度慢的矛盾。

3）每秒高达30万条的NAT新建连接会话。

在出口中平均长度512Byte报文1Gbps的NAT线速转发下，每秒达到新建7万条NAT会话。

可以同时1100个用户美妙新建100个链接，从而解决用户数多的情况下，网页打开不断线。

图3 信产部关于NPE网络出口引擎性能的测试报告从底层架构提升防火墙的性能为了能够解决校园网出口安全所面临的各种问题，我们针对校园网出口安全进行了研究，对不同厂商的各种产品进行深入分析，对各种实现方案进行详细比较。

当然，其中如何能够提供高性能的、丰富的网络安全功能是出口安全的焦点所在。

NP和单一CPU的方案可以提供丰富的安全服务，但是性能不满足要求。

而ASIC的方案可以提供高性能，但安全功能不够丰富。

综合考虑，锐捷RG-WALL2000产品核心技术采用可编程专用安全芯片和成熟商用芯片相结合的方案。

这样RG-WALL2000即有ASIC产品的高效能，兼有软件产品的灵活性，同时也部分吸收了NP的微引擎设计思想。

由于采用了ASIC的专用技术，在芯片设计的时候，就考虑到各种报文的转发效率。

这样的设计就是校园网出口的全包长线速转发性能。

实测数据显示，任意大小的数据包都在5-13ms内数据转发，完全达到业界最优水平。

3.2安全防护牢牢掌握在校园网出口，我们将安全防护主要交给RG-WALL2000。

在锐捷RG-WALL2000产品中，锐捷开发了核心的安全芯片：Sentinel。

Sentinel是一个高集成度的安全芯片，主要模块是四层智能防御系统和IPSecVPN微引擎阵列。

详细地说，RG-WALL 2000能在硬件内为源自Layer 2 至Layer 7的头信息作检验和执行模式匹配，且一次能匹配128个字节，垂度为16个字节。

即，RG-WALL 2000一方面能快速地检验多至144个字节（128 + 16 = 144）的头信息，另一方面也能匹配具体的消息头（从1到128字节长度的可编程序签名/模式字串），并能在结果上执行逻辑运算。

CME也能把同一流的数据包拼合，从而阻止把签名分布到多个小包的应用层攻击。